Se la tua azienda vende tecnologia, connettività o servizi a un cliente nell'Unione Europea — o semplicemente fattura a un'azienda italiana — è probabile che nei prossimi mesi ti arrivi un questionario di sicurezza che prima non esisteva. Non è nuova burocrazia fine a se stessa: è NIS2, e per la maggior parte delle PMI che operano in Europa o verso l'Europa, è la prima volta che la cybersecurity smette di essere un tema opzionale.
A chi si applica davvero?
La Direttiva NIS2 (UE 2022/2555) ha sostituito la NIS originale del 2016 e ha ampliato enormemente l'universo di aziende obbligate a gestire il rischio informatico in modo attivo. La legge classifica le organizzazioni in entità essenziali (energia, trasporti, banche, sanità, acqua, infrastrutture digitali) e entità importanti (manifattura, alimentare, fornitori digitali, servizi postali, e altro). Il filtro abituale è la dimensione — medie e grandi aziende, 50 dipendenti o più —, ma diversi settori non hanno una soglia dimensionale e restano coinvolti indipendentemente dal numero di dipendenti.
Ecco il punto che la maggior parte delle PMI non vede arrivare: anche se la tua azienda non è direttamente coinvolta, se vendi a un cliente che lo è, è molto probabile che ti chieda evidenza della gestione del rischio informatico — perché la direttiva impone alle aziende coinvolte di valutare il rischio della propria catena di fornitura. NIS2 non è più un tema di infrastrutture critiche, è un tema di catena di fornitura.
Cosa richiede davvero, oltre al firewall
Avere un firewall e un antivirus ti avvicina a NIS2 meno di quanto sembri. La direttiva richiede tre cose concrete che cambiano il modo in cui un'azienda opera ogni giorno:
- Gestione continua del rischio: non un audit una tantum, ma un processo vivo di identificazione e trattamento del rischio, rivisto con regolarità.
- Segnalazione degli incidenti con scadenze strette: allerta preventiva entro 24 ore dal rilevamento di un incidente significativo, notifica formale entro 72 ore, rapporto finale entro un mese.
- Due diligence sulla catena di fornitura: valutare il rischio dei propri fornitori tecnologici, non solo la propria postura.
Il termine di 24 ore è quello che sorprende di più le PMI: non c'è tempo per riunire un comitato quando l'incidente è già accaduto. NIS2 pone inoltre la responsabilità ultima della gestione del rischio sull'organo di direzione dell'azienda — non solo sull'IT —, con una formazione specifica richiesta per chi dirige.
Cosa succede se non ti adegui
Le sanzioni scalano in base alla dimensione dell'azienda e possono arrivare a 10 milioni di euro o al 2% del fatturato globale per le entità essenziali. In pratica, però, quasi nessuna PMI finisce per pagare una multa del genere: il costo reale è perdere un contratto perché un cliente ha chiesto evidenza di gestione del rischio e non l'avevi, o restare fuori da una gara d'appalto.
Cosa ti chiederà davvero il questionario di sicurezza
Se il tuo cliente rientra nell'ambito di NIS2, il questionario che ti arriverà tende a seguire lo stesso schema, indipendentemente dal settore. Prepararti in anticipo ti fa risparmiare settimane di andirivieni:
- Evidenza che l'MFA è attivo sugli accessi che amministrano i tuoi sistemi e su quelli che toccano dati del cliente.
- Una procedura documentata di risposta agli incidenti, con nomi e tempistiche — non una dichiarazione generica di intenti.
- Prova che i tuoi backup si ripristinano davvero, non solo che vengono eseguiti secondo programma.
- Un elenco di chi subappalti tu — perché la due diligence del tuo cliente si propaga a cascata fino ai tuoi stessi fornitori.
Averlo pronto prima che te lo chiedano trasforma una trattativa da "vediamo se possiamo" a "ecco il report".
I primi 5 passi
Non serve risolvere tutto in un weekend. Questo è l'ordine che riduce più rischio per primo:
- Fai l'inventario di quali sistemi, dati e fornitori sono critici per la tua operatività. Senza questo, ogni misura successiva viene presa alla cieca.
- Definisci il processo di segnalazione degli incidenti — chi decide, chi viene avvisato, in che tempi — e testalo con un'esercitazione semplice, invece di lasciarlo in un documento che nessuno legge.
- Attiva l'MFA su tutti gli accessi critici: email, VPN, pannelli di amministrazione. È la misura singola con il miglior rapporto costo-impatto.
- Verifica il backup 3-2-1 — non basta averlo configurato, bisogna provare che ripristina davvero.
- Segmenta la rete con VLAN di base, così un incidente su un sistema non si propaga a tutta l'operatività.
Come lo affrontiamo in DITAP
In DITAP non vendiamo certificazioni che non abbiamo — non siamo certificati NIS2, e ti conviene diffidare di qualsiasi fornitore che promette "conformità totale" in una chiamata commerciale. La nostra posizione è di allineamento progressivo: progettiamo l'infrastruttura e i processi di sicurezza gestita — firewall gestito, MFA, backup 3-2-1, segmentazione, monitoraggio 24/7 — che coprono buona parte delle misure tecniche minime della direttiva, documentati perché tu possa mostrare evidenza reale a un cliente o a un auditor.
Se vuoi capire esattamente a che punto è la tua azienda, realizziamo una valutazione del gap di conformità NIS2 con risultati concreti e prioritizzati. E se preferisci prima capire il quadro completo — ambito, obblighi, piano di 90 giorni —, la guida completa di conformità NIS2 per PMI lo sviluppa con più dettaglio di quanto entri in questo articolo.
